Falco — runtime security

Comprar Self-Hosted Protection
Live
Demo
Falco
Ativo
Eventos em 24 h: 26
Críticos
0
Eventos em 24 h
Avisos
6
Notificações: 8
Top de regras
5
Total: 26
Top de regras
Write below etc 4
Run shell untrusted 2
Terminal shell in container 1
Read sensitive file untrusted 1
Detect outbound connections to common miner pools 1
Eventos recentes 26
warning 2026-10-12T04:01:44 warning A Read sensitive file untrusted (user=root command=sh pid=9012)
notice 2026-10-12T03:12:53 notice A Run shell untrusted (user=root command=sh pid=5064)
notice 2026-10-12T02:41:26 notice A Terminal shell in container (user=root command=sh pid=2472)
warning 2026-10-12T01:48:23 warning A Run shell untrusted (user=root command=sh pid=9503)
warning 2026-10-12T03:33:24 warning A Run shell untrusted (user=root command=sh pid=8044)
notice 2026-10-12T01:04:09 notice A Run shell untrusted (user=root command=sh pid=1818)
notice 2026-10-11T23:40:50 notice A Terminal shell in container (user=root command=sh pid=1769)
notice 2026-10-12T03:09:28 notice A Write below etc (user=root command=sh pid=2009)
warning 2026-10-12T01:47:12 warning A Run shell untrusted (user=root command=sh pid=7118)
warning 2026-10-11T22:44:56 warning A Write below etc (user=root command=sh pid=8487)
notice 2026-10-12T02:07:04 notice A Detect outbound connections to common miner pools (user=root command=sh pid=6426)
notice 2026-10-11T23:07:07 notice A Write below etc (user=root command=sh pid=1345)
notice 2026-10-11T23:00:20 notice A Write below etc (user=root command=sh pid=5946)
warning 2026-10-11T19:18:03 warning A Write below etc (user=root command=sh pid=9864)
Ajuste: silenciar falso positivo

O painel não altera a configuração do Falco — apenas mostra o excerto e os comandos que aplica no servidor via SSH.

1. Crie um ficheiro de substituição com a exceção:
# /etc/falco/rules.d/local-tuning.yaml
- rule: <NOME EXATO DA REGRA da lista acima>
  condition: and not fd.name = /path/to/exclude
  append: true
2. Verifique e reinicie o Falco:
sudo nano /etc/falco/rules.d/local-tuning.yaml
sudo falco --validate /etc/falco/rules.d/local-tuning.yaml
sudo systemctl restart falco 2>/dev/null || sudo systemctl restart falco-modern-bpf

Use o nome exato da regra. Se a lista mostrar o texto da mensagem em vez do nome, ative a saída JSON em falco.yaml (json_output: true) para que o painel receba os nomes exatos das regras.

Correr o Falco num servidor normal, sem Kubernetes

O Falco costuma ser apresentado como uma ferramenta de Kubernetes, e quase tudo o que se escreve sobre ele pressupõe um cluster. Funciona perfeitamente bem num servidor Linux comum, onde vigia as chamadas de sistema e levanta um alerta quando um processo faz algo que não lhe compete: abrir uma shell a partir do servidor web, escrever num diretório de binários do sistema, ler ficheiros sensíveis ou abrir uma ligação de saída inesperada.

Esta página mostra os alertas com a sua prioridade, a regra que disparou e o processo e a linha de comandos por trás. É esse último pormenor que distingue o Falco das ferramentas assentes em registos: comunica o que um processo realmente fez, e não o que um serviço decidiu escrever a esse respeito.

O conjunto de regras por omissão foi escrito a pensar em contentores e será ruidoso num servidor nu enquanto não for afinado. Gestores de pacotes, tarefas de cópia de segurança e scripts do cron acionam com regularidade regras destinadas a apanhar intrusos. Conte com uma ou duas horas a silenciar comportamentos legítimos antes de o resultado se tornar acionável: um fluxo de alertas que ninguém lê equivale a não ter alertas.